KRACK, czyli złamane zabezpieczenia WPA2. Wszystkie routery są podatne?
Czujemy się naprawdę zaniepokojeni. Wygląda na to, że podstawabezpieczeństwa sieci bezprzewodowych, protokół WPA2, zostałzłamany. Tkwiąca w samym protokole, a nie w jego implementacjachluka KRACK pozwala na podsłuchiwanie komunikacji międzyurządzeniami i punktami dostępowymi. Odkrycie zostanie oficjalniezademonstrowane 1 listopada, podczas konferencji ACM, ale jakinformuje amerykański CERT, już dziś mają zostać przedstawionewszystkie znane podatności.
Komunikat US-CERT nie brzmi zachęcająco:
Znamy już działanie ataku KRACK. Szczegóły znajdziecie w naszym nowym materiale.
Z informacje, jakie do tej pory wypłynęły, wynika, że podczasuwierzytelniania 4-way handshake, wykorzystywanego do ustanowieniaklucza szyfrującego ruch, udało się podczas trzeciego kroku kluczwysłać wielokrotnie. Przy odpowiednim jego spreparowaniu,pseudolosowa liczba (nonce) może być ponownie wykorzystana tak, żeszyfrowanie zostaje całkowicie zneutralizowane.
Za odkryciem stoją badacze belgijscy, niemieccy i amerykańscy:Mathy Vanhoef i Frank Piessens z KU Leuven, Yong Li z HuaweiTechnologies w Düsseldorfie i Sven Schäge z Ruhr-UniversitätBochum, oraz Maliheh Shirvanian i Nitesh Saxena z University ofAlabama. Podatności zostaną ujawnione przez nich pod następującyminumerami: CVE-2017-13077, CVE-2017-13078, CVE-2017-13079,CVE-2017-13080, CVE-2017-13081, CVE-2017-13082, CVE-2017-13084,CVE-2017-13086, CVE-2017-13087 i CVE-2017-13088.
Co w tym wszystkim jest pocieszające, to możliwość załataniausterek na poziomie firmware. Podobno biznesowej klasy routery takichfirm jak Ubiquiti czy Aruba, już mają dostępne łatki, pozwalającezneutralizować zagrożenie. Na pewno też po cichu łatki wydał jużMikrotikdla swojego systemu RouterOS.
Można się jednak spodziewać, że miliony routerów nigdy takichłatek nie zobaczą, co oznacza, że w bliskiej przyszłości hakerzybędą w stanie podsłuchiwać ruch sieciowy między podatnymiurządzeniami, a może nawet włamywać się do siecibezprzewodowych.
Na dzisiaj należy uznać wykorzystywane w naszych domowychrouterach WPA2 za niegodne zaufania i korzystać z połączeńkablowych. Jeśli jest to niemożliwe, należy korzystać z rozwiązańniezależnie szyfrujących ruch, takich jak HTTPS czy STARTTLS, możenawet sięgnąć po godną zaufania wirtualną sieć prywatną.
